Contrat de Sous-Traitance LoyaFlow (DPA)

Traduction de courtoisie. La version contraignante de ce document est la version anglaise : English version. En cas de divergence, la version anglaise prévaut.

Le présent Contrat de Sous-Traitance (le « DPA ») fait partie de l'accord conclu entre Abdelfattah el Alouani (Wülflingerstrasse 165, 8408 Winterthur, Suisse — « LoyaFlow », le « Sous-traitant ») et le Commerçant (le « Responsable du traitement ») pour l'utilisation de la plateforme LoyaFlow (le « Service »).

1. Rôles et périmètre

1.1 Pour les Données du Client Final — données personnelles des clients du Commerçant traitées dans le Service — le Commerçant est le responsable du traitement et LoyaFlow est le sous-traitant. LoyaFlow ne traite les Données du Client Final que sur instructions documentées du Commerçant, le présent DPA et l'utilisation des fonctions du Service constituant ces instructions, sauf obligation contraire résultant du droit auquel LoyaFlow est soumis (auquel cas LoyaFlow informe le Commerçant avant le traitement, sauf si la loi l'interdit).

1.2 Le présent DPA ne s'applique pas aux données pour lesquelles LoyaFlow est lui-même responsable du traitement (données de compte du Commerçant, de facturation et de support) — ce traitement est décrit dans l'Avis de Confidentialité de la Plateforme.

1.3 Si LoyaFlow traite des Données du Client Final en dehors des instructions du Commerçant, il est considéré comme responsable de ce traitement et responsable à ce titre.

2. Détails du traitement (Art. 28(3) RGPD)


Objet	Exploitation du programme de fidélité numérique du Commerçant (inscription, pass de portefeuille, activité de fidélité, communications du programme).
Durée	Durée du Contrat Commerçant + la fin de contrat de 30 jours (Section 9).
Nature et finalité	Hébergement et stockage ; émission, signature, distribution, mise à jour et révocation des pass de portefeuille ; enregistrement des événements de fidélité ; envoi de notifications push techniques ; pages d'inscription ; outils de gestion, d'export et de suppression des clients ; support.
Catégories de personnes concernées	Les clients du Commerçant (membres du programme de fidélité).
Catégories de données personnelles	Identité : nom complet. Contact : adresse email, numéro de téléphone (lorsque le Commerçant le collecte). Données de programme : identifiant de carte, solde de points/tampons, niveau, historique d'activité (événements de gain/utilisation/ajustement horodatés). Métadonnées d'inscription : langue préférée, version acceptée de la politique de confidentialité du commerçant, horodatage du consentement marketing. Données d'appareil/de pass : numéro de série du pass, identifiants de bibliothèque de l'appareil, jetons push. Données techniques : journaux de requêtes (adresse IP, agent utilisateur) conservés à court terme pour la sécurité. Données de module (lorsque le Commerçant active le module complémentaire correspondant) : réservations et rendez-vous — nom de contact, email, numéro de téléphone normalisé, taille du groupe, date/heure demandée, service/personnel choisi, statut de la réservation incluant l'historique des non-présentations, les notes internes du Commerçant, horodatages d'envoi des rappels ; liste de blocage anti-abus — adresses email et numéros de téléphone normalisés bloqués avec une note facultative du Commerçant (base légale : l'intérêt légitime du Commerçant, Art. 6(1)(f) RGPD) ; emails de rappel — adresse du destinataire et contenu du message au moment de l'envoi. La Carte numérique ne contient que du contenu du Commerçant (aucune donnée personnelle du Client final).
Catégories particulières	Aucune. Le Service n'est pas conçu pour, et le Commerçant ne doit pas l'utiliser pour, traiter des données de catégories particulières ou des données d'enfants au sens du droit applicable.

3. Obligations du sous-traitant

LoyaFlow doit :

(a) Instructions. Traiter les Données du Client Final uniquement comme décrit à la Section 1.1 et informer le Commerçant si, à son avis, une instruction enfreint le droit de la protection des données.
(b) Confidentialité. S'assurer que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité (contractuelle ou légale).
(c) Sécurité. Mettre en œuvre et maintenir les mesures techniques et organisationnelles de l'Annexe II, en les révisant et en les mettant à jour à mesure que la technologie évolue — y compris le chiffrement en transit et au repos, une isolation stricte des locataires, le maintien à jour du Service, et une surveillance continue.
(d) Sous-traitants ultérieurs. N'engager de sous-traitants ultérieurs que conformément à la Section 4.
(e) Droits des personnes concernées. Assister le Commerçant, dans la mesure du possible et compte tenu de la nature du traitement, pour répondre aux demandes des personnes concernées. Le Service fournit un outillage en libre-service : export et suppression des clients dans le tableau de bord, et un canal de demande public sur la page du pass (la désinscription s'exécute immédiatement ; les demandes d'export et de suppression sont mises en attente pour traitement par le Commerçant).
(f) Notification de violation. Notifier le Commerçant sans retard injustifié, et en tout état de cause dans les 48 heures, après avoir eu connaissance d'une violation de données personnelles affectant les Données du Client Final, avec les informations raisonnablement nécessaires aux propres obligations de notification du Commerçant, et coopérer à l'enquête et à l'atténuation.
(g) Assistance. En tenant compte de la nature du traitement et des informations disponibles, assister le Commerçant dans le respect de ses obligations au titre des Art. 32 à 36 du RGPD (sécurité, notification de violation, analyses d'impact, consultation préalable).
(h) Suppression et restitution. Procéder conformément à la Section 9 à la fin des services.
(i) Audits. Mettre à disposition les informations raisonnablement nécessaires pour démontrer la conformité à l'Art. 28 et permettre les audits prévus à la Section 8.

4. Sous-traitants ultérieurs

4.1 Le Commerçant accorde une autorisation générale écrite pour les sous-traitants ultérieurs listés à l'Annexe I.

4.2 LoyaFlow donnera un préavis d'au moins 30 jours (tableau de bord et/ou email) avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le Commerçant peut s'y opposer pour des motifs raisonnables liés à la protection des données ; si aucune solution n'est trouvée, le Commerçant peut résilier l'abonnement concerné avec effet à la date du changement, avec un remboursement au prorata des frais prépayés pour la période restante.

4.3 LoyaFlow impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données offrant un niveau de protection équivalent au présent DPA, et demeure pleinement responsable envers le Commerçant de l'exécution par ses sous-traitants ultérieurs.

5. Transferts internationaux

5.1 Le stockage et le traitement principaux ont lieu dans des régions de centres de données Suisse/EEE. Les transferts entre la Suisse, l'EEE et le Royaume-Uni s'appuient sur leurs décisions d'adéquation mutuelle et ne nécessitent aucune garantie supplémentaire.

5.2 Les sous-traitants ultérieurs situés aux États-Unis (Annexe I) reçoivent des ensembles de données limités dans le cadre du Cadre de protection des données UE–États-Unis et de ses extensions suisse et britannique, et/ou de clauses contractuelles types, comme indiqué à l'Annexe I.

6. Analyses d'impact relatives à la protection des données

Le Commerçant est responsable de ses propres analyses d'impact (AIPD). LoyaFlow fournit les descriptions figurant dans le présent DPA (y compris ses annexes) comme base factuelle et des informations complémentaires raisonnables sur demande.

7. Responsabilité

La responsabilité au titre du présent DPA est soumise à la clause de responsabilité des Conditions Générales d'Utilisation, sauf lorsque le droit de la protection des données en dispose autrement (la répartition prévue à l'Art. 82 RGPD entre responsable du traitement et sous-traitant demeure inchangée).

8. Audits

Moyennant un préavis écrit de 30 jours, pas plus d'une fois par an (sauf après une violation importante ou lorsqu'une autorité de contrôle l'exige), le Commerçant peut auditer la conformité de LoyaFlow au présent DPA — dans un premier temps par le biais de la documentation, des certifications et des rapports d'audit de LoyaFlow et de ses prestataires d'infrastructure ; un audit sur site, lorsqu'il est strictement nécessaire, est à la charge du Commerçant, pendant les heures ouvrées, sans accès aux données d'autres commerçants.

9. Fin du traitement (fin de contrat)

9.1 À la résiliation ou à l'expiration du Contrat Commerçant : les pass sont invalidés immédiatement ; les Données du Client Final sont conservées pendant 30 jours (sécurité, prévention de la fraude, réactivation) pendant lesquels le Commerçant peut les exporter ; après 30 jours, elles sont supprimées, sauf lorsque la conservation est requise par la loi (auquel cas les données sont isolées et protégées jusqu'à extinction du fondement légal). Les propres données de compte et de configuration du Commerçant (image de marque, modèles de carte, paramètres — aucune Donnée du Client Final) sont conservées jusqu'à 90 jours après la clôture pour permettre une réactivation, puis supprimées. Les sauvegardes sont purgées selon leur propre cycle de rotation dans un délai limité.

9.2 La suppression couvre tous les sous-traitants ultérieurs (propagée par les tâches de fin de contrat : révocation des pass de portefeuille auprès d'Apple/Google, purge de la base de données et du stockage).

Annexe I — Sous-traitants ultérieurs autorisés (v1.1)

Sous-traitant ultérieur	Service	Données concernées	Localisation / région	Garantie de transfert
Supabase, Inc.	Base de données, authentification, stockage de fichiers	Toutes les catégories de Données du Client Final (Section 2)	AWS eu-central-1 (Francfort, Allemagne)	Hébergement dans l'EEE ; DPF/CCT pour tout accès de support américain
Google Cloud (Google Ireland Ltd / Google LLC)	Hébergement de l'application (Cloud Run, `europe-west1`), gestion des secrets, journalisation, stockage d'images	Contenu des pass au moment de la génération (nom, solde, image de marque), journaux de requêtes, images stockées	UE (Belgique)	Hébergement dans l'EEE ; DPF pour la société mère américaine
Apple Inc.	Apple Push Notification service (rafraîchissement des pass)	Jeton push de l'appareil uniquement — les notifications contiennent une charge utile vide (aucun contenu personnel)	USA	DPF UE–États-Unis + extensions suisse/britannique
Google LLC	Google Wallet API (pass Android)	Contenu du pass : nom, solde/tampons, identifiant de carte, image de marque du commerçant	USA	DPF UE–États-Unis + extensions suisse/britannique
Cloudflare, Inc.	DNS, CDN, sécurité en périphérie devant les pages publiques	Trafic en transit (IP, métadonnées de requête)	Périphérie mondiale (points d'entrée UE)	DPF + CCT
Amazon Web Services EMEA SARL (Amazon SES)	Envoi d'emails transactionnels — notifications du programme et, avec les modules de réservation/rendez-vous, confirmations et rappels de réservation aux Clients finaux	Adresse email du destinataire, contenu du message	AWS eu-central-1 (Francfort, Allemagne)	Région EEE ; CCT/DPF pour tout accès de support américain
Resend, Inc.	Envoi d'emails transactionnels (transport hérité/de secours, en cours d'abandon)	Adresse email du destinataire, contenu du message	USA	DPF / CCT

Remarque : Paddle (paiements/Marchand Officiel) traite les données de facturation du Commerçant, et non les Données du Client Final, et figure donc dans l'Avis de Confidentialité de la Plateforme, et non dans la présente Annexe.

Annexe II — Mesures techniques et organisationnelles (MTO, v1.0)

Architecture et isolation des locataires

Isolation multi-locataires stricte appliquée au niveau de la base de données via une sécurité au niveau des lignes (row-level security) sur chaque table du locataire, associée à l'identité de session côté serveur du commerçant — les clients ne fournissent jamais leur identifiant de locataire.
Les écritures des données de programme passent exclusivement par une surface d'API côté serveur contrôlée (procédures stockées) ; aucune écriture directe dans les tables depuis les clients.
La surface anonyme (avant connexion) est limitée à cinq fonctions à périmètre limité (pages d'inscription et de pass), chacune limitée par un identifiant impossible à deviner ; aucun accès anonyme aux tables.

Chiffrement et secrets

TLS pour toutes les données en transit ; chiffrement au repos géré par le prestataire pour la base de données, le stockage et les sauvegardes.
Les clés privées de signature des pass sont stockées chiffrées (AES-256, protégées par phrase secrète) et transmises à l'exécution exclusivement via un gestionnaire de secrets géré (GCP Secret Manager) ; jamais dans le code ni les images.
Les clés API sont stockées sous forme de hachages salés (affichées une seule fois) ; jetons d'authentification par pass ; les liens de pass publics sont des URL à capacité (UUID impossibles à deviner).

Exploitation

Comptes de service à moindre privilège par charge de travail ; validation au démarrage des certificats (expiration et chaîne) avec échec rapide en cas de mauvaise configuration.
Le Service est maintenu à jour et surveillé : mises à jour des dépendances, journaux structurés, surveillance des pannes avec nouvelles tentatives et récupération en file d'attente morte (« dead-letter ») pour les tâches asynchrones, et limites anti-abus (plafonds de débit, plafonds d'instances, plafonds de charge utile) sur les points d'accès publics.
Schéma de base de données documenté et versionné (migrations en ajout uniquement) ; les modifications en production sont examinées et vérifiées dans une boucle de validation de préproduction avant déploiement.

Cycle de vie des données

Suppression logique suivie d'une fenêtre de conservation de 30 jours, puis purge (phase de données personnelles) ; les pass de portefeuille sont invalidés immédiatement lors de la suppression.
Conservation courte pour les journaux techniques/de requêtes ; le point de terminaison des journaux d'appareil est plafonné et non conservé au-delà du besoin opérationnel.
Récupération à un point dans le temps et sauvegardes en production, purgées selon leur rotation.

Personnes et processus

Accès à la production restreint au personnel autorisé soumis à une obligation de confidentialité ; comptes personnels, authentification multifacteur sur les consoles des prestataires.
Plan de gestion des violations : détecter → contenir → évaluer → notifier le responsable du traitement sous 48 h → documenter.

Version 1.1 · Date d'effet : 29 août 2026 · Langue contraignante : anglais.